Um boletim sobre uma vulnerabilidade ativamente explorada (listada na CISA KEV). O que acontece, a faixa afetada e as correções — explicados de forma defensiva, sem passos de ataque.
- CVE
- CVE-2026-45247
- Severidade
- Crítica (CVSS 9.3 / v4.0)
- Classe
- PHP object injection (desserialização de dados não confiáveis, CWE-502)
- Impacto
- Execução remota de código (RCE) não autenticada
- Afetado
- Mirasvit Full Page Cache Warmer for Magento 2 — antes da 1.11.12
- Correção principal
- Atualizar para a 1.11.12 ou posterior
Por que a negligência é perigosa
RCE não autenticado é um alvo primário de varreduras automatizadas em massa (por isso está listado na KEV). "Somos pequenos demais para sermos alvo" não se sustenta — scanners varrem a internet inteira de forma mecânica.
O que é a vulnerabilidade (PHP object injection)
O PHP tem serialize para transformar dados em string e unserialize para restaurá-los. Desserializar entrada não confiável tal como está permite que um invasor passe "um objeto que causa efeitos colaterais indesejados ao ser restaurado". Durante a restauração (métodos mágicos, etc.), comportamentos não intencionais se encadeiam e podem alcançar execução de código. Isso é PHP object injection (CWE-502).
✗ Restaurar entrada não confiável
entrada externa → unserialize em um objeto → cadeia de restauração → execução de código
✓ Tratar como dado
aceitar entrada externa apenas como dado (JSON, etc.) → nunca reconstruir objetos
O componente afetado é uma extensão de aquecimento de cache para o Magento 2. O invasor o alcança sem autenticação, e o CVSS o classifica em 9.3, entre os mais graves.
Faixa afetada
| Item | Detalhe |
|---|---|
| Extensão | Mirasvit Full Page Cache Warmer for Magento 2 |
| Versões afetadas | antes da 1.11.12 |
| Versão corrigida | 1.11.12 e posteriores |
| Pré-condição | Nenhuma autenticação necessária |
| Impacto alcançado | Execução remota de código (RCE) |
Correções
Atualize para a 1.11.12+ (prioridade máxima)
Defesa em profundidade temporária até a correção
Verifique se houve comprometimento
Inventarie extensões + monitoramento de CVE por máquina
A visão deste site: projetar para que dados não confiáveis nunca sejam desserializados
Esse tipo de falha continua aparecendo porque é "conveniente" restaurar entrada externa diretamente. A postura deste site é clara: nunca crie um lugar que faça unserialize de dados não confiáveis. Aceite entrada externa apenas como dado (ex.: json_decode), nunca para reconstruir objetos. Assim, esse tipo de falha não pode ocorrer, por design.
Leia em seguida
- Glossário: O que é RCE · O que é CVE · O que é CVSS
- Feed: Feed de ameaças
Fontes e escopo
Estas fontes primárias fundamentam as configurações, o escopo ou as medidas acima; links conferidos em 23 de outubro de 2026. Confira as condições de versão e configuração. As prioridades e lições são orientações deste site, não uma revalidação completa nem garantia de segurança.